آموزش کامل تنظیمات DNS در ویندوز، مک، اندروید و مودم

وقتی DNS را عوض می‌کنید، تنظیم جدید فقط روی درخواست‌های بعدی اثر می‌گذارد. سیستم‌عامل، مرورگر و حتی مودم پاسخ‌های قبلی را مدتی نگه می‌دارند تا هر بار مجبور به پرسیدن از سرور نباشند. این مدت را TTL می‌نامند.

اگر پاسخ قدیمی هنوز در حافظه باشد، ممکن است سایت همچنان با آدرس قبلی یا با خطا باز شود و فکر کنید تغییر DNS جواب نداده است.

در ویندوز، Command Prompt را با دسترسی Administrator باز کنید و دستور ipconfig /flushdns را اجرا کنید. پیام «Successfully flushed the DNS Resolver Cache» نشان می‌دهد کش خالی شده است. اگر می‌خواهید پیش از پاک‌سازی محتوای کش را ببینید، دستور ipconfig /displaydns فهرست دامنه‌های ذخیره‌شده و آدرس‌هایشان را نمایش می‌دهد.

در macOS دو دستور زیر را پشت سر هم در Terminal وارد کنید: sudo dscacheutil -flushcache و سپس sudo killall -HUP mDNSResponder. در لینوکس‌هایی که از systemd-resolved استفاده می‌کنند، دستور resolvectl flush-caches کافی است. در توزیع‌های قدیمی‌تر معادل آن systemd-resolve --flush-caches است. برای تأیید می‌توانید resolvectl statistics را اجرا کنید.

مرورگرها هم کش جداگانه دارند و پاک کردن کش سیستم‌عامل آن را خالی نمی‌کند. در کروم، آدرس chrome://net-internals/#dns را باز کنید و در بیشتر نسخه‌ها گزینه Clear host cache را بزنید. در فایرفاکس و سایر مرورگرها معمولاً بستن کامل برنامه و باز کردن دوباره آن کافی است.

اگر مرورگر تنظیم DNS امن دارد، پاک‌سازی را بعد از فعال‌سازی هم انجام دهید.

در گوشی ساده‌ترین راه، روشن و خاموش کردن حالت پرواز برای چند ثانیه یا راه‌اندازی دوباره دستگاه است. اگر همچنان پاسخ قدیمی می‌بینید، مودم را هم یک بار خاموش و روشن کنید.

بعضی مودم‌ها نقش DNS Forwarder دارند و کش خودشان را نگه می‌دارند، بنابراین ممکن است پاسخ قدیمی را حتی بعد از پاک‌سازی دستگاه شما بازگردانند.

یک نکته تشخیصی مهم: اگر بعد از پاک‌سازی همه کش‌ها فقط یک سایت مشکل دارد، احتمالاً مشکل از خود آن سایت یا مسدودسازی است و ربطی به کش ندارد. با دستور nslookup example.com می‌توانید ببینید کدام سرور پاسخ می‌دهد و آیا آدرس برگشتی همانی است که انتظار دارید.

این بررسی کوتاه جلوی ساعت‌ها آزمون و خطا را می‌گیرد.

بسیاری از کاربران DNS را فقط با توصیه دوستان انتخاب می‌کنند، در حالی که بهترین سرور برای هر شبکه و هر شهر متفاوت است. ملاک درست، زمان پاسخ‌گویی بر حسب میلی‌ثانیه و پایداری آن در ساعت‌های مختلف روز است.

خوشبختانه برای سنجش آن به ابزار پیچیده‌ای نیاز ندارید و ابزارهای داخلی سیستم‌عامل کافی‌اند.

ساده‌ترین روش دستور dig یا nslookup است. در لینوکس و macOS دستور dig example.com @1.1.1.1 در خروجی، خطی با عنوان Query time نشان می‌دهد. در ویندوز می‌توانید در PowerShell از Measure-Command { Resolve-DnsName example.com -Server 1.1.1.1 } استفاده کنید.

همین آزمون را برای 8.8.8.8 و 9.9.9.9 و DNS پیش‌فرض اینترنت خودتان تکرار کنید.

دقت کنید که اولین درخواست برای هر دامنه باید از اینترنت گرفته شود، اما درخواست‌های بعدی از کش سرور پاسخ داده می‌شوند و بسیار سریع‌اند. برای مقایسه منصفانه، چند دامنه مختلف و کمتر پربازدید را امتحان کنید، هر کدام را چند بار بسنجید و میانگین بگیرید.

عددی که فقط از یک بار اجرا به دست آمده قابل اتکا نیست.

اگر ابزار گرافیکی می‌خواهید، DNS Benchmark از GRC برای ویندوز فهرستی از سرورها را همزمان آزمایش می‌کند و رتبه‌بندی می‌دهد. مزیت این ابزارها آن است که روی شبکه خود شما اجرا می‌شوند.

جدول‌های عمومی منتشرشده در سایت‌های خارجی شرایط شبکه ایران را نشان نمی‌دهند و ممکن است نتیجه‌ای کاملاً متفاوت از تجربه واقعی شما داشته باشند.

نتیجه را درست تفسیر کنید. اختلاف ده یا بیست میلی‌ثانیه در مرور روزمره تقریباً قابل حس نیست. مهم‌تر از آن، نبود timeout، پاسخ ثابت در ساعات شلوغ و دستکاری نشدن پاسخ‌هاست.

سروری که در بعضی آزمون‌ها اصلاً پاسخ نمی‌دهد یا نوسان زیادی دارد، حتی با میانگین خوب باید کنار گذاشته شود.

بهتر است آزمون را در دو یا سه زمان مختلف، مثلاً صبح، عصر و نیمه‌شب، تکرار کنید. بعد دو سرور برتر را یادداشت کنید و آن‌ها را به‌عنوان DNS اول و دوم وارد کنید.

اگر هر چند ماه یک بار این آزمون کوتاه را تکرار کنید، با تغییر شرایط شبکه و ارائه‌دهنده اینترنت هم همیشه بهترین گزینه را در اختیار خواهید داشت.

کاربران رایانه‌های اپل و لینوکس هم می‌توانند DNS را به‌سادگی تغییر دهند، اما مسیر تنظیمات با ویندوز فرق دارد. در ادامه روش گرافیکی و دستوری هر دو سیستم را می‌بینید. اگر با ترمینال راحت نیستید، همان روش گرافیکی کاملاً کافی است و نتیجه یکسانی می‌دهد.

در macOS نسخه‌های جدید، System Settings را باز کنید و به بخش Network بروید. اتصال فعال، مثلاً Wi-Fi، را انتخاب کنید و روی Details بزنید. در تب DNS با دکمه + آدرس‌های جدید را اضافه کنید.

اگر آدرس قدیمی وجود دارد، آن را حذف یا پایین‌تر از آدرس‌های جدید قرار دهید. در نسخه‌های قدیمی‌تر مسیر System Preferences، سپس Network و Advanced است.

در اوبونتو با محیط گرافیکی، به Settings و سپس Wi-Fi یا Network بروید و روی آیکون چرخ‌دنده کنار اتصال فعال بزنید. در تب IPv4 گزینه Automatic را در بخش DNS خاموش کنید و آدرس‌ها را با ویرگول جدا کنید، مثلاً 1.1.1.1,8.8.8.8.

اگر شبکه IPv6 هم دارید، همین کار را در تب IPv6 انجام دهید و بعد اتصال را یک بار قطع و وصل کنید.

برای ترمینال و سرورها، ابزار nmcli روش تمیزی است. دستور nmcli connection modify NAME ipv4.dns "1.1.1.1 8.8.8.8" ipv4.ignore-auto-dns yes را اجرا کنید و به‌جای NAME نام اتصال را بنویسید. سپس با nmcli connection up NAME تنظیم را اعمال کنید. نام اتصال‌ها را می‌توانید با nmcli connection show ببینید.

برای بررسی نتیجه، در اوبونتو دستور resolvectl status سرورهای فعال هر رابط شبکه را نشان می‌دهد. در macOS دستور scutil --dns فهرست کامل resolverها را چاپ می‌کند. همیشه پس از تغییر، یک بار کش DNS را پاک کنید و با nslookup بررسی کنید که پاسخ از سرور تازه می‌آید.

یک اشتباه رایج در لینوکس، ویرایش مستقیم فایل /etc/resolv.conf است. در بیشتر توزیع‌های امروزی این فایل را systemd-resolved یا NetworkManager مدیریت می‌کنند و بعد از راه‌اندازی دوباره یا تغییر شبکه، تغییرات دستی شما پاک می‌شود.

برای ماندگاری تنظیم، همیشه از ابزار مدیریت شبکه همان سیستم استفاده کنید و فایل را دستی عوض نکنید.

در همه فرم‌های تنظیمات دو خانه برای DNS دیده می‌شود: ترجیحی و جایگزین. بسیاری از کاربران خانه دوم را خالی می‌گذارند یا هر آدرسی که به ذهنشان می‌رسد وارد می‌کنند. در حالی که این انتخاب مستقیماً روی پایداری، امنیت و حتی باز شدن یا نشدن بعضی سایت‌ها اثر می‌گذارد.

منطق کار ساده است: سیستم معمولاً ابتدا از سرور اول می‌پرسد و اگر پاسخی نگرفت، سراغ سرور دوم می‌رود. اما این رفتار در همه سیستم‌عامل‌ها دقیقاً یکسان نیست. بعضی نسخه‌ها پس از چند خطا بین سرورها جابه‌جا می‌شوند و گاهی هر دو را به‌طور موازی امتحان می‌کنند.

پس نباید فرض کنید همه درخواست‌ها فقط از سرور اول می‌گذرند.

بهترین الگو برای کاربران عادی استفاده از هر دو آدرس یک ارائه‌دهنده است، مثلاً 1.1.1.1 و 1.0.0.1 یا 8.8.8.8 و 8.8.4.4. این آدرس‌ها برای افزونگی طراحی شده‌اند و رفتار یکسانی دارند.

اگر یکی از آن‌ها در شبکه شما کند یا غیرقابل دسترس باشد، دیگری بدون تغییر در نتیجه کار را ادامه می‌دهد.

ترکیب ارائه‌دهنده‌های مختلف در ظاهر بی‌ضرر است، اما در عمل مشکل می‌سازد. فرض کنید DNS اول شما یک سرویس ضدتحریم است و DNS دوم گوگل. هر وقت سیستم از سرور دوم بپرسد، آدرس واقعی سایت را می‌گیرد و سایت باز نمی‌شود.

نتیجه، خطای تصادفی و غیرقابل پیش‌بینی است که پیدا کردن علتش دشوار است.

همین مشکل برای DNS فیلترکننده هم وجود دارد. اگر DNS اول شما نسخه خانوادگی کلودفلر باشد و DNS دوم یک سرور بدون فیلتر، هر درخواستی که به سرور دوم برسد از فیلتر عبور می‌کند.

بنابراین در سرویس‌های فیلتر یا ضدتحریم، هر دو خانه را فقط با آدرس‌هایی پر کنید که خود سرویس معرفی کرده است.

اگر شبکه شما IPv6 دارد، برای آن هم جداگانه DNS تنظیم کنید. در غیر این صورت ممکن است درخواست‌های IPv6 همچنان به DNS قدیمی ارائه‌دهنده اینترنت بروند.

در بخش IPv6 هم دو آدرس از همان سرویس وارد کنید و در پایان با nslookup یا ابزارهای آنلاین مطمئن شوید که هیچ مسیری از تنظیم قبلی باقی نمانده است.

تصور رایج این است که با روشن کردن VPN همه ترافیک، از جمله درخواست‌های DNS، از تونل امن عبور می‌کند. همیشه این‌طور نیست. گاهی درخواست‌ها هنوز به DNS ارائه‌دهنده اینترنت می‌روند.

این وضعیت را نشت DNS می‌نامند و باعث می‌شود نام سایت‌هایی که باز می‌کنید برای ارائه‌دهنده قابل مشاهده باشد، حتی اگر محتوای صفحات رمزگذاری شده باشد.

چند علت متداول وجود دارد. اگر روی کارت شبکه DNS دستی تنظیم کرده‌اید، ممکن است VPN آن را نادیده نگیرد. نشت از مسیر IPv6 هم رایج است، چون بعضی VPNها فقط IPv4 را مدیریت می‌کنند.

در ویندوز، قابلیتی با نام Smart Multi-Homed Name Resolution هم درخواست را روی همه رابط‌های شبکه می‌فرستد و سریع‌ترین پاسخ را می‌پذیرد.

برای بررسی، ابتدا VPN را وصل کنید و سپس به سایت‌هایی مثل dnsleaktest.com یا browserleaks.com/dns مراجعه کنید. این سایت‌ها نشان می‌دهند درخواست‌های شما از کدام سرورها گذشته است. اگر در فهرست، نام ارائه‌دهنده اینترنت ایران یا سرورهای داخلی دیده شد، نشت رخ داده است.

اگر فقط سرورهای VPN یا سرویس مورد انتظار نمایش داده شود، وضعیت سالم است.

اولین راه‌حل، فعال کردن گزینه محافظت از نشت DNS در خود برنامه VPN است. بیشتر برنامه‌های معتبر چنین گزینه‌ای دارند. دوم، DNS دستی کارت شبکه را به حالت خودکار برگردانید یا آن را روی DNS خود سرویس VPN بگذارید تا دو تنظیم با هم تداخل نکنند.

بعد از این تغییر، آزمون نشت را دوباره اجرا کنید.

اگر مشکل از IPv6 است، می‌توانید موقتاً آن را برای کارت شبکه غیرفعال کنید. روش دیگر استفاده از DoH در مرورگر است؛ در این حالت درخواست‌های مرورگر مستقل از تنظیمات سیستم و رمزگذاری‌شده ارسال می‌شود.

البته این روش فقط ترافیک همان مرورگر را پوشش می‌دهد و برنامه‌های دیگر همچنان از DNS سیستم استفاده می‌کنند.

به یاد داشته باشید که نشت DNS همیشه به معنای ناامن بودن کل ارتباط نیست، بلکه ریسک آن به شرایط شما بستگی دارد.

اما اگر هدفتان حفظ حریم خصوصی است، آزمون نشت را بعد از هر بار تغییر VPN، به‌روزرسانی سیستم‌عامل یا تغییر تنظیمات شبکه تکرار کنید تا مطمئن شوید محافظت همچنان برقرار است.

بعضی سرویس‌های DNS علاوه بر تبدیل نام به آدرس، دامنه‌های مخرب یا نامناسب را هم مسدود می‌کنند. این ویژگی برای خانواده‌هایی که می‌خواهند بدون نصب برنامه روی تک‌تک دستگاه‌ها، دسترسی کودکان به محتوای نامناسب را محدود کنند، گزینه ساده و ارزانی است. البته باید محدودیت‌های آن را هم بشناسید.

کلودفلر سه سطح ارائه می‌دهد. آدرس‌های 1.1.1.1 و 1.0.0.1 بدون فیلتر هستند. آدرس‌های 1.1.1.2 و 1.0.0.2 فقط بدافزار را مسدود می‌کنند. آدرس‌های 1.1.1.3 و 1.0.0.3 علاوه بر بدافزار، محتوای بزرگسالان را هم می‌بندند. بنابراین اگر هدف شما محافظت از کودکان است، گزینه سوم یعنی نسخه خانوادگی را انتخاب کنید.

OpenDNS از سیسکو هم نسخه‌ای به نام FamilyShield دارد که با آدرس‌های 208.67.222.123 و 208.67.220.123 کار می‌کند و محتوای بزرگسالان را به‌صورت پیش‌فرض مسدود می‌کند. سرویس Quad9 با آدرس 9.9.9.9 هم دامنه‌های مخرب را فیلتر می‌کند، اما فیلتر محتوای بزرگسالان ندارد و بیشتر برای امنیت مناسب است.

بهترین جا برای تنظیم، خود مودم یا روتر است. وقتی DNS را آنجا عوض می‌کنید، تمام دستگاه‌هایی که از آن شبکه استفاده می‌کنند، از گوشی و تبلت تا تلویزیون و کنسول بازی، زیر پوشش فیلتر قرار می‌گیرند.

اگر فقط روی یک رایانه تنظیم کنید، دستگاه‌های دیگر بدون محافظت می‌مانند و کودک می‌تواند از آن‌ها استفاده کند.

محدودیت اصلی این روش، دور زدن آسان است. کودک کنجکاو می‌تواند DNS گوشی را دستی عوض کند یا در مرورگر DoH روشن کند و فیلتر را کنار بگذارد.

همچنین فیلتر DNS محتوای داخل صفحه را بررسی نمی‌کند و ممکن است بخشی از محتوای نامناسب در سایت‌های مجاز یا شبکه‌های اجتماعی از آن عبور کند.

برای نتیجه بهتر، فیلتر DNS را با ابزارهای کنترل والدین خود دستگاه، مثل Family Link در اندروید یا Screen Time در iOS، ترکیب کنید و گفت‌وگو درباره استفاده امن از اینترنت را فراموش نکنید. رمز پنل مودم را هم عوض کنید تا کسی نتواند DNS را برگرداند.

بعد از تنظیم، با باز کردن یک سایت مسدودشده آزمایشی مطمئن شوید فیلتر واقعاً فعال است.